CVE-2026-34981 in whisperX-FastAPI
要約
〜によって VulDB • 2026年06月02日
whisperX APIは、オーディオコンテンツの強化および分析のためのツールです。0.3.1から0.5.0のバージョンにおいて、app/services/file_service.py内のFileService.download_from_url()関数は、URLの検証を一切行わずにrequests.get(url)を呼び出します。ファイル拡張子のチェックはHTTPリクエストが既に送信された後に行われるため、任意の内部URLの末尾に.mp3を付加することでこれを回避できます。/speech-to-text-urlエンドポイントは認証不要です。この脆弱性は0.6.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.